CVE-2026-58624

Apache MINA SSHD-də sshd-git komponentində düzgün olmayan giriş yoxlaması. Apache MINA SSHD klient və server tərəfli SSH üçün Java kitabxanasıdır. org.apache.sshd:sshd-git komponenti öz GitPgmCommandFactory vasitəsilə Apache MINA SSHD serverini elə konfiqurasiya etməyə imkan verir ki, SSH klientləri serverdə saxlanılan git repozitoriyalarında JGit kitabxanası vasitəsilə uzaqdan git əmrlərini icra edə bilsinlər. Bu GitPgmCommandFactory SSH vasitəsilə autentifikasiyadan keçmiş istifadəçiyə mövcud olan istənilən JGit əmrini icra etməyə imkan verirdi, o cümlədən ixtiyari yerlərdə fayl yaza bilən əmrləri, məsələn --output seçimi ilə git archive əmrini. Apache MINA SSHD ilə tətbiq edilmiş və GitPgmCommandFactory istifadə edən SSH serverləri təsirlənir. Əgər serverdə GitPgmCommandFactory konfiqurasiya edilməyibsə, server təsirlənmir. Təsirlənmiş serverlərin bu problemi aradan qaldıran Apache MINA SSHD 2.19.0 və ya 3.0.0-M5 versiyasına yenilənməsi tövsiyə olunur. Problem mövcud əmrləri kritik olmayan əmrlərin kiçik ağ siyahısı ilə məhdudlaşdırmaqla həll edilib (məsələn, git log). git archive əmrinə də icazə verilir, lakin onun --output arqumenti nəzərə alınmır və arxiv həmişə SSH kanalı vasitəsilə klientə göndərilir.